5 Porquês em SIF: 4 armadilhas que culpam o operador

Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados por Andreza Araujo, a aplicação dos 5 Porquês na investigação de fatalidade chega quase sempre à mesma conclusão antes do quinto nível. O operador agiu de forma insegura, faltou treinamento, e a ação corretiva proposta é reciclagem. A trajetória de Andreza Araujo soma 25+ anos em multinacionais e 250+ projetos de transformação cultural, e o padrão observado é recorrente em organizações no estágio reativo ou calculativo do modelo Hudson. Este guia explica por que a ferramenta mais difundida no RCA brasileiro falha em SIF, quais quatro armadilhas o investigador precisa evitar e qual método aplicar quando a cadeia envolve múltiplas barreiras concorrentes em vez da sequência linear que a Toyota desenhou para falhas de qualidade.

Por que 5 Porquês virou o RCA brasileiro (e por que isso é problema em SIF)

A Toyota popularizou os 5 Porquês como parte do Toyota Production System na década de 1970, com aplicação a falhas de qualidade e processo, em que a peça saiu do padrão, descobre-se a causa e ajusta-se a operação. A ferramenta atravessou o oceano e foi adotada em massa pelos cursos brasileiros de NR-01 e auditorias de NR-12 como método-padrão de RCA, por uma razão prática evidente. Cabe num quadro branco, treina-se em meia hora, e o registro é simples — tudo o que um time de SST sobrecarregado precisa para fechar a CAT no prazo do eSocial.

O problema aparece quando o evento investigado deixa de ser uma falha de qualidade e passa a ser uma fatalidade, uma amputação ou um quase-acidente com potencial de SIF, em frentes como manutenção de maquinário, trabalho em altura ou espaço confinado. Como Andreza Araujo defende em Sorte ou Capacidade, acidente grave não é a conclusão linear de uma cadeia de causa-efeito que o investigador percorre como um corredor único, e sim a coincidência rara em que múltiplas barreiras de proteção, projetadas em camadas sobrepostas, falharam ao mesmo tempo. Essa coincidência tem natureza diferente da peça que saiu do padrão na linha de produção, e exige um método de análise cuja arquitetura aceite paralelismo de cadeias.

Quando o investigador aplica 5 Porquês a um SIF, a ferramenta o conduz pelo caminho de menor resistência cognitiva, que é a cadeia mais curta entre o evento e uma causa atribuível a um agente humano específico. James Reason descreve esse padrão no livro Human Error como viés do "ato inseguro", segundo o qual o investigador para no operador porque o operador é a barreira mais visível na cena, enquanto o sistema de barreiras latentes que sustentava o risco permanece fora do laudo. Projeto inadequado, supervisão ausente, matriz de risco com hierarquia de controles invertida, métrica perversa e rotina degradada continuam intocados, e disponíveis para sustentar o próximo evento.

Armadilha 1: a linearidade presumida

A primeira armadilha está na premissa que a ferramenta carrega no próprio formato. Cinco caixas em sequência, ligadas por flechas, indicam ao investigador que ele deve achar uma causa para cada efeito até chegar a uma origem singular, e essa estrutura visual condiciona o pensamento do time durante toda a análise. Quando aplicada a uma falha de qualidade na linha (peça com diâmetro fora de tolerância, máquina com sensor descalibrado, calibração não revisada na rotina), a estrutura linear funciona porque a falha de fato tem cadeia única.

Em SIF, a estrutura presumida não corresponde ao fenômeno. O modelo do queijo suíço de James Reason mostra que toda fatalidade é a soma de três a sete falhas concorrentes em camadas distintas, entre elas projeto, formação, procedimento, supervisão, equipamento, condição do dia e ato no momento. Quando o investigador força essa rede de falhas dentro do esqueleto linear de cinco caixas, escolhe uma das ramificações para narrar e descarta as outras, não porque elas não existam e sim porque o método não tem onde encaixá-las no diagrama.

A aplicação prática para o técnico de SST é direta. Ao iniciar uma investigação de SIF, recuse a folha tradicional de 5 Porquês como ponto de partida e substitua-a por um diagrama de árvore com ramos paralelos, em que cada barreira de proteção que existia teoricamente vira um galho próprio, com sua sequência específica de "porquês". A ferramenta resultante deixa de ser 5 Porquês e passa a ser Causal Tree ou Why-Because Analysis, métodos cuja arquitetura aceita paralelismo de cadeias e força o time investigador a documentar cada barreira de forma independente antes de propor a ação corretiva.

Armadilha 2: o viés de confirmação do investigador

A segunda armadilha é cognitiva, e mora em quem conduz a investigação. O investigador chega à cena com uma hipótese inicial, formada nos primeiros minutos de relato, do tipo "operador subiu sem cinto", "supervisor não fez DDS" ou "máquina estava sem proteção". A partir desse instante, cada pergunta de "por quê" tende a construir o caminho que confirma a hipótese inicial, num padrão que Daniel Kahneman descreve como viés de confirmação aplicado a decisão sob pressão.

Em cultura calculativa do modelo Hudson, esse viés se torna especialmente difícil de detectar, porque o time de SST está condicionado a fechar o relatório em prazo curto, com plano de ação publicável já no primeiro comitê pós-evento. Cada hora que a investigação avança sem hipótese assentada gera ansiedade no gerente da planta, que cobra "uma resposta" antes que a operação reabra ao próximo turno. O investigador, mesmo experiente, sente o atrito político e adota a hipótese mais cedo do que deveria, porque resistir a essa pressão exige autonomia que muitos times de SSMA ainda não conquistaram dentro da estrutura de poder corporativa.

A contramedida envolve dois movimentos concretos. O primeiro é separar fisicamente a fase de coleta da fase de análise, em duas reuniões diferentes, com pelo menos vinte e quatro horas de intervalo, para que o time apresente dados antes de discutir hipóteses. O segundo é incluir na composição do time alguém de fora da operação investigada, prática que Faça a Diferença (Araujo) descreve como "olho fresco", e cuja função é justamente forçar o "por que ainda não" depois que o restante do time já fechou a cadeia. Sem esses dois movimentos, mesmo o investigador mais técnico converge para a hipótese inicial, e a investigação termina antes de tocar a falha latente.

Armadilha 3: a parada antecipada em "ato inseguro"

A terceira armadilha é estatística. O time aplica 5 Porquês corretamente do ponto de vista metodológico, percorre os cinco níveis e chega a uma resposta. O problema reside no tipo de resposta a que o método quase sempre conduz, em que o "porquê" final aponta para o operador, com formulações do tipo "agiu de forma insegura", "deixou de seguir o procedimento" ou "não percebeu o risco no momento". Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados por Andreza Araujo, esse padrão se repete em organizações reativas e calculativas do modelo Hudson com regularidade desconfortável.

Isso acontece por uma razão simples. Cada nível de "por quê" exige um respondente que tenha autoridade para responder, e o respondente mais imediatamente disponível, na cena de um acidente, é o testemunho do operador ou do supervisor que liberou a tarefa. À medida que a cadeia avança em direção a falhas latentes, como decisões de projeto, escolha de fornecedor, métrica do gerente e fluxo de PT que a empresa tolera há anos, os respondentes ficam mais distantes, ocupam cargos mais altos e raramente são entrevistados pelo investigador-base, que costuma ser o técnico de segurança ou o engenheiro júnior do time SSMA.

O resultado é o que Andreza Araujo descreve em Um Dia Para Não Esquecer, segundo o qual cada fatalidade é a versão visível de uma falha latente que a organização aceitou conviver durante meses ou anos. A pirâmide de Bird estima ratio aproximado de 1 fatalidade : 600 quase-acidentes de mesmo potencial, e cada um desses seiscentos eventos foi uma oportunidade perdida de tocar a falha latente antes que ela se tornasse irreversível. Quando o RCA para no terceiro porquê, a falha latente fica preservada, a próxima fatalidade tem o mesmo desenho, e a investigação seguinte concluirá novamente que "o operador agiu de forma insegura".

Armadilha 4: a ação corretiva-padrão "treinamento"

A quarta armadilha é a consequência inevitável das três anteriores. Quando a investigação fecha em "ato inseguro do operador", a única ação corretiva coerente com a conclusão é "treinar de novo o operador". O laudo registra reciclagem, o RH inclui o tema na próxima SIPAT, o evento é arquivado como tratado, e nada no sistema muda de fato. Em três a doze meses, o evento se repete em outro turno, com outro operador, e a investigação seguinte fecha de novo em treinamento, num ciclo que Andreza Araujo critica de forma sistemática em A Ilusão da Conformidade, e que aparece com frequência em SIFs de maquinário cujo LOTO existia no PGR e era ignorado no chão.

A tese central do livro é exatamente essa armadilha. Cumprir o protocolo de RCA com diligência aparente (preencher o template, juntar fotos, registrar entrevista, propor treinamento, fechar a CAT no prazo do eSocial) não equivale a investigar. A organização sai do evento com o checklist concluído, ainda que a barreira que falhou continue a falhar exatamente da mesma forma, e o gestor de SSMA reporta ao C-level que a investigação foi concluída e a recomendação foi implementada, o que reforça a percepção corporativa de que o sistema funciona enquanto, na prática, ele falha em produzir aprendizado real.

A aplicação prática começa na regra de aceite do plano de ação. Em culturas maduras de segurança, o gestor de SSMA recusa publicamente todo plano cuja única ação corretiva proposta seja treinamento ou reciclagem, e devolve o relatório ao time investigador com instrução explícita para identificar pelo menos uma ação que mude o sistema, em projeto, procedimento, supervisão, métrica, layout ou ferramenta. Treinamento entra como ação complementar, nunca como ação principal de SIF, e essa regra simples força o time a aprofundar a análise até a camada de decisão organizacional onde a falha latente realmente vive.

Comparação: 5 Porquês frente a métodos compatíveis com SIF

A escolha do método de RCA precisa partir do tipo de evento que está sendo investigado, e não da ferramenta com a qual o time está mais familiarizado. A tabela abaixo compara 5 Porquês com Causal Tree, ICAM (Incident Cause Analysis Method) e Bow-Tie reverso nas dimensões que importam para distinguir a falha de processo da fatalidade.

O critério de escolha é binário em fatalidade. Se o evento tem potencial de SIF (definido pelo dano consumado, pela severidade, pelo número de pessoas expostas ou pela violação de barreira crítica de projeto), o método linear é tecnicamente inadequado e a escolha precisa recair sobre Causal Tree, ICAM ou Bow-Tie reverso. Em mais de duzentos e cinquenta projetos de transformação cultural conduzidos por Andreza Araujo, organizações em estágio proativo do modelo Hudson aplicam essa regra de forma sistemática, enquanto organizações em estágio reativo continuam aplicando 5 Porquês mesmo quando o evento exige método mais robusto, e em geral pagam pela inadequação na fatalidade seguinte.

Quando 5 Porquês ainda funciona

A ferramenta não é inútil, e descartar 5 Porquês por completo seria erro de outra natureza. Tem aplicação válida em três cenários distintos do dia a dia operacional, todos em que a cadeia causal de fato é linear e o investigador não está sob pressão de tempo executiva para fechar o relatório. O primeiro cenário é a falha de processo sem ferimento, em que a peça saiu do padrão, a máquina parou ou o lote precisou ser segregado, e a cadeia de causa-efeito segue a estrutura para a qual a Toyota desenhou o método originalmente.

O segundo cenário é a anomalia repetitiva em equipamento ou procedimento, em que a regularidade do problema indica origem técnica única, com pouco potencial de envolver barreira humana. O terceiro é o quase-acidente leve (near-miss sem potencial de SIF), em que o tempo de evolução do dano teria sido curto e a cadeia se fecha em três ou quatro níveis sem forçar a estrutura. Em sinistros de frota corporativa, por exemplo, é comum que o evento sem feridos se enquadre nesse terceiro cenário e que 5 Porquês entregue análise suficiente para a ação corretiva.

Em qualquer cenário diferente desses três, o investigador precisa fazer uma escolha consciente entre 5 Porquês e métodos que aceitam paralelismo de barreiras. Quando a métrica corporativa pressiona pelo "zero acidentes" como meta, o investigador costuma sentir incentivo perverso para fechar o relatório em treinamento e arquivar o evento, padrão que distorce todo o sistema de aprendizado organizacional e que Muito Além do Zero (Araujo) documenta com casos reais. Reconhecer essa pressão é o primeiro passo para resistir a ela na próxima investigação.

Como conduzir 5 Porquês em SIF sem cair na armadilha

Quando o time decide aplicar 5 Porquês mesmo em SIF, porque o método já está institucionalizado, porque o tempo é curto ou porque o gerente exige, sete cuidados procedimentais reduzem o risco de chegar à conclusão errada e de fechar a investigação em "ato inseguro do operador":

• Conduza a investigação com pelo menos uma pessoa de fora da operação investigada na sala, com mandato explícito para questionar hipóteses convergentes e sem subordinação ao gerente da planta sob investigação.
• Separe a fase de coleta da fase de análise por no mínimo vinte e quatro horas, para que a hipótese inicial não contamine a entrevista do operador nem oriente a leitura das evidências físicas da cena.
• Estabeleça regra explícita de que nenhum dos cinco níveis pode terminar em pessoa, em que todo "porquê" final precisa apontar para um elemento de sistema, projeto, procedimento, supervisão, métrica, equipamento ou rotina organizacional.
• Quando o time naturalmente convergir para "treinamento" como ação corretiva, devolva o relatório ao investigador com instrução para identificar pelo menos uma ação que mude o sistema antes que treinamento seja considerado como ação complementar.
• Documente em apêndice do laudo as ramificações que o método linear forçou a descartar, para que a organização tenha registro do que ficou de fora da análise e possa reabrir a investigação caso o evento se repita em outro turno.
• Inclua no plano de ação um indicador de verificação da efetividade da ação corretiva, com prazo de seis a doze meses, para que o sistema saiba se a barreira foi de fato restaurada ou se permanece comprometida no campo.
• Audite, doze meses depois da implementação, se ações similares foram propostas em outros eventos do mesmo período, porque repetição de "treinamento como ação principal" sinaliza falha sistêmica do RCA, e não falha pontual de um investigador isolado.

Nenhum desses sete cuidados elimina por completo a inadequação do método linear em SIF. Reduzem o pior, e dão ao time investigador uma chance razoável de chegar à camada latente, a despeito do esqueleto rígido que a ferramenta impõe. Em mais de duzentos e cinquenta projetos de transformação cultural acompanhados por Andreza Araujo, os times que aplicam essas sete regras com disciplina chegam a conclusões substancialmente diferentes daqueles que aplicam 5 Porquês de forma protocolar, e a diferença aparece principalmente na qualidade do plano de ação e na duração do efeito da intervenção sobre a operação real.

Conclusão

5 Porquês é uma ferramenta legítima dentro do escopo para o qual a Toyota a desenhou, e perde legitimidade quando aplicada a fatalidade ou quase-acidente com potencial de SIF, em que a estrutura linear força o time a descartar barreiras concorrentes que o queijo suíço de James Reason e a experiência consolidada da Andreza Araujo em vinte e cinco anos de EHS executivo mostram estarem sempre presentes. A consequência prática é uma cadeia de "operador errou, treinamento, fim" que mantém a falha latente intocada e abre caminho para o próximo evento.

Cada SIF investigado com 5 Porquês e fechado em treinamento como ação principal é uma falha latente preservada, e portanto uma fatalidade aguardando a próxima coincidência de fadiga, supervisor cansado, chuva e procedimento já degradado.

Para o time de SST que precisa aprofundar a análise sistêmica, a consultoria de Andreza Araujo conduz diagnóstico de cultura de RCA e treinamento em métodos compatíveis com SIF, com base na metodologia descrita em Sorte ou Capacidade e em Um Dia Para Não Esquecer. Para acelerar a apropriação interna do método pelas equipes de planta, as cartas Construa & Desmonte os SIFs, disponíveis em loja.andrezaaraujo.com, simulam a análise de barreiras múltiplas em formato lúdico aplicável a SIPAT, integração e treinamento de líderes operacionais.

A mesma lógica aparece no guia sobre relatório de investigação de acidente, que organiza seis campos para separar evidência, barreira e falha latente antes que o RCA culpe o operador.